鄒晴楓（溫州大學(xué) 圖書館，浙江 溫州 325035）

圖書館網(wǎng)絡(luò)安全是一個系統(tǒng)概念，是指圖書館網(wǎng)絡(luò)系統(tǒng)的各個組成部分不受偶然的或惡意的原因而遭到破壞、篡改和泄露，并且確保圖書館網(wǎng)絡(luò)系統(tǒng)能連續(xù)正常運(yùn)行的機(jī)制。[1]圖書館網(wǎng)絡(luò)安全主要包括館藏數(shù)據(jù)安全、文獻(xiàn)管理集成系統(tǒng)運(yùn)行安全和運(yùn)行環(huán)境的安全。造成圖書館信息安全方面問題的因素，主要包括硬件因素、軟件因素、人為因素、管理因素、病毒因素和環(huán)境因素等幾方面。要確保圖書館網(wǎng)絡(luò)的安全，必須建立一套較為完整的安全防御體系，進(jìn)行多層次、多手段的檢測和防護(hù)。筆者以溫州大學(xué)圖書館現(xiàn)有網(wǎng)絡(luò)系統(tǒng)為例，進(jìn)行現(xiàn)有網(wǎng)絡(luò)體系結(jié)構(gòu)的分析與應(yīng)用測試，通過圖書館防火墻系統(tǒng)、入侵檢測系統(tǒng)和網(wǎng)絡(luò)病毒防治系統(tǒng)、VLAN 劃分、VPN 和備份冗余技術(shù)應(yīng)用等方案設(shè)計與描述，為構(gòu)建一個比較完善的圖書館網(wǎng)絡(luò)安全防御體系，提出相應(yīng)的技術(shù)與管理策略。

1 溫州大學(xué)圖書館網(wǎng)絡(luò)安全現(xiàn)狀與需求分析

1.1 溫州大學(xué)圖書館網(wǎng)絡(luò)安全現(xiàn)狀分析

溫州大學(xué)圖書館網(wǎng)絡(luò)是一個位于校園外的獨(dú)立網(wǎng)絡(luò)體系，采用Cisco Catalyst 6509 作為核心路由交換機(jī)，由于考慮到圖書館網(wǎng)絡(luò)與校園骨干網(wǎng)的可靠連接，上行線路采用冗余方式由兩條千兆光纖接入溫州大學(xué)校園骨干網(wǎng)絡(luò)；接入層采用25 臺Cisco Catalyst 2950G 交換機(jī)，通過千兆光纖與核心交換機(jī)連接，并提供百兆到桌面的接入方式。溫州大學(xué)圖書館基本網(wǎng)絡(luò)拓?fù)鋱D如圖1 所示。

圖書館內(nèi)設(shè)有700 多臺PC 機(jī)的大型電子閱覽室與視聽室，加上各書庫、閱覽室、自習(xí)區(qū)等地方的查詢與工作機(jī)端口，共計1500 多個信息點(diǎn)；擁有24 臺服務(wù)器（包括2 臺小型機(jī)）與37TB的SAN 數(shù)據(jù)存儲，其中保存著180 多萬冊藏書的書目數(shù)據(jù)與3 萬多讀者的借閱信息數(shù)據(jù)，并提供CNKI、超星、維普、萬方、中國基本古籍庫、四庫全書、方正電子圖書、自建特色數(shù)據(jù)庫（CADAL）等13 種資源的鏡像服務(wù)和38 種中外文數(shù)據(jù)庫的網(wǎng)絡(luò)版數(shù)據(jù)。目前采用的匯文文獻(xiàn)信息管理系統(tǒng)，正常的圖書流通業(yè)務(wù)需要大量訪問書目數(shù)據(jù)庫與讀者信息庫，這些服務(wù)都需要有穩(wěn)定的網(wǎng)絡(luò)系統(tǒng)作為保障。

圖1 溫州大學(xué)圖書館基本網(wǎng)絡(luò)拓?fù)鋱D

1.2 溫州大學(xué)圖書館網(wǎng)絡(luò)安全需求分析

1.2.1 物理安全

網(wǎng)絡(luò)的物理安全是指保護(hù)計算機(jī)網(wǎng)絡(luò)設(shè)備、設(shè)施以及其它媒體免遭地震、水災(zāi)、火災(zāi)等環(huán)境事故以及人為操作失誤或錯誤及各種計算機(jī)犯罪行為導(dǎo)致的破壞。[2]在圖書館大樓布局設(shè)計與網(wǎng)絡(luò)系統(tǒng)的建設(shè)初期，圖書館對這些因素已經(jīng)予以充分考慮，如電子閱覽室、機(jī)房位置選在四樓、五樓，就是考慮了防水防潮問題；安裝了煙霧感應(yīng)消防系統(tǒng)和紅外線感應(yīng)報警系統(tǒng)，就是考慮了防火、防盜因素；核心交換機(jī)Cisco Catalyst 6509 通過兩條千兆光纖與校園網(wǎng)核心交換機(jī)設(shè)備連接，就是考慮了通訊鏈路安全可靠；購置兩臺小型機(jī)實(shí)行雙機(jī)熱備，就是考慮了關(guān)鍵設(shè)備的冗余備份需要。

1.2.2 網(wǎng)絡(luò)安全

圖書館網(wǎng)絡(luò)目前通過一臺Cisco6509 與校園網(wǎng)相連接，隨著使用時間的增加，這臺核心交換機(jī)逐漸老化，性能難以得到保證，一旦出現(xiàn)故障，圖書館網(wǎng)絡(luò)將會中斷，網(wǎng)絡(luò)鏈路的可靠性越來越低。圖書館局域網(wǎng)與校園網(wǎng)直接連接，沒有進(jìn)行任何隔離，校園網(wǎng)內(nèi)的任何用戶都能夠直接連接到圖書館內(nèi)的任意一臺服務(wù)器上，這給網(wǎng)絡(luò)黑客入侵提供了間隙。而且由于圖書館網(wǎng)絡(luò)節(jié)點(diǎn)超過1500 處，網(wǎng)絡(luò)用戶數(shù)較多，容易出現(xiàn)一處系統(tǒng)故障殃及整個網(wǎng)絡(luò)的情況。

1.2.3 系統(tǒng)應(yīng)用安全

圖書館應(yīng)用服務(wù)器操作系統(tǒng)采用Windows2000 和Windos2003，PC 機(jī)工作站應(yīng)用Windows XP 系統(tǒng)，這些操作系統(tǒng)都存在著各種各樣的漏洞，一旦被黑客利用并進(jìn)行攻擊，將帶來巨大損失。而且當(dāng)前網(wǎng)絡(luò)病毒泛濫，而圖書館各主機(jī)上主要安裝的是各種單機(jī)版防病毒軟件，工作人員經(jīng)常忽視工作機(jī)病毒庫的升級，對感染病毒的PC 機(jī)沒有及時做殺毒、重裝或隔離處理，有時甚至導(dǎo)致病毒蔓延整個網(wǎng)絡(luò)。此外，圖書館的電子閱覽室與視聽室將近有700 臺面向?qū)W生開放的PC 機(jī)，經(jīng)常病毒泛濫，容易出現(xiàn)由于內(nèi)部網(wǎng)病毒相互傳播導(dǎo)致整個網(wǎng)絡(luò)性能下降，有時甚至引起交換機(jī)宕機(jī)和整個網(wǎng)絡(luò)癱瘓。需要安裝網(wǎng)絡(luò)版防病毒軟件，建立集中式網(wǎng)絡(luò)病毒防治系統(tǒng)，及時發(fā)現(xiàn)并清除系統(tǒng)和網(wǎng)絡(luò)中的病毒。

1.2.4 管理安全

管理安全策略的實(shí)施，需要制定一整套科學(xué)的網(wǎng)絡(luò)安全管理制度并嚴(yán)格執(zhí)行。要合理調(diào)整部門職責(zé)與分工，統(tǒng)一管理權(quán)限，實(shí)行機(jī)房、網(wǎng)絡(luò)設(shè)備和服務(wù)器等都由技術(shù)部專人管理的制度，并對網(wǎng)絡(luò)實(shí)時監(jiān)控，進(jìn)行相關(guān)數(shù)據(jù)收集和分析，及時有效地發(fā)現(xiàn)問題和解決問題，建立和完善網(wǎng)絡(luò)故障緊急處理預(yù)案，定期對網(wǎng)絡(luò)安全狀況做出評估和審核，關(guān)注網(wǎng)絡(luò)安全動態(tài)，調(diào)整安全策略。此外開展對網(wǎng)絡(luò)管理員的專業(yè)知識技能培訓(xùn)，加強(qiáng)各圖書館網(wǎng)絡(luò)管理專業(yè)技術(shù)人員之間互動交流，提高網(wǎng)絡(luò)管理員的安全意識與安全管理技術(shù)水平，并不定期進(jìn)行館內(nèi)安全知識宣傳，提高全體工作人員的網(wǎng)絡(luò)安全意識。

2 溫州大學(xué)圖書館網(wǎng)絡(luò)安全系統(tǒng)總體解決方案的設(shè)計與實(shí)施

通過對溫州大學(xué)圖書館網(wǎng)絡(luò)自身安全現(xiàn)狀與需求分析，為進(jìn)一步完善圖書館網(wǎng)絡(luò)安全防御系統(tǒng)，設(shè)計了一套相適應(yīng)的解決方案，即計劃在圖書館服務(wù)器機(jī)群的出口處，增設(shè)一臺硬件防火墻，隔離外部網(wǎng)絡(luò)對各個服務(wù)器的非法訪問；在圖書館網(wǎng)絡(luò)內(nèi)部增設(shè)一套入侵檢測設(shè)備，監(jiān)測進(jìn)出圖書館的所有數(shù)據(jù)包，并通過審計分析指導(dǎo)防火墻的策略調(diào)整；圖書館采用網(wǎng)絡(luò)版防病毒軟件，在專用服務(wù)器和每個客戶端上安裝，建立集中式網(wǎng)絡(luò)病毒防治系統(tǒng)，通過控制中心及時更新病毒庫，及時發(fā)現(xiàn)并清除系統(tǒng)和網(wǎng)絡(luò)中的病毒，提高圖書館網(wǎng)絡(luò)系統(tǒng)的病毒防治能力。因此，在構(gòu)建圖書館網(wǎng)絡(luò)安全防御體系的工程中，需要分別建立防火墻系統(tǒng)、入侵檢測系統(tǒng)和網(wǎng)絡(luò)病毒防治系統(tǒng)，并且細(xì)化VLAN 劃分，應(yīng)用VPN 技術(shù)和備份冗余技術(shù)。

2.1 防火墻系統(tǒng)的建設(shè)

為更好地保護(hù)圖書館網(wǎng)絡(luò)的核心服務(wù)器和存儲的書目數(shù)據(jù)、讀者借閱信息、電子資源、自建特色資源等各類信息數(shù)據(jù)的安全，參照防火墻選型的原則與具體標(biāo)準(zhǔn)以及天融信網(wǎng)絡(luò)衛(wèi)士防火墻的功能特點(diǎn)，并結(jié)合溫州大學(xué)圖書館自身實(shí)際情況和具體需求，圖書館網(wǎng)絡(luò)安全防御系統(tǒng)選擇了一款天融信網(wǎng)絡(luò)衛(wèi)士NGFW4000（TG-4324）防火墻產(chǎn)品。與一般的防火墻安裝模式不同之處是，此防火墻安裝在圖書館服務(wù)器機(jī)群的出口處，即位于連接服務(wù)器的Cisco2950 交換機(jī)和Cisco6509 核心交換機(jī)之間。因該型號防火墻是一款百兆設(shè)備（吞吐量為600MB），將其安裝在這個位置，既能保證網(wǎng)絡(luò)出入暢通，又不會對整個圖書館網(wǎng)絡(luò)出入口造成“瓶頸”。按照要求防火墻接入對網(wǎng)絡(luò)通信造成影響最少的原則，將防火墻的eth1 端口使用直通雙絞網(wǎng)絡(luò)線與核心交換機(jī)Cisco6509 相連，由于防火墻的eth2 端口使用直通雙絞網(wǎng)絡(luò)線與連接服務(wù)器機(jī)群的交換機(jī)Cisco2950 相連。防火墻工作模式為透明模式，所有接口均可作為交換接口工作，需設(shè)置接口為交換模式，故將設(shè)置eth1 接口IP 地址為10.96.1.8，用于防火墻遠(yuǎn)程管理，然后進(jìn)行訪問控制規(guī)則設(shè)置、病毒過濾策略的配置、使用流量控制策略制定等主要防火墻策略配置。

2.2 入侵檢測系統(tǒng)的建設(shè)

對于已經(jīng)部署了防火墻系統(tǒng)的圖書館網(wǎng)絡(luò)來說，建設(shè)入侵檢測系統(tǒng)（IDS）是必要補(bǔ)充。溫州大學(xué)圖書館結(jié)合自身網(wǎng)絡(luò)實(shí)際情況，選擇了一款天融信網(wǎng)絡(luò)衛(wèi)士入侵檢測系統(tǒng)TopSentry2000（TS-2204-IDS）作為圖書館網(wǎng)絡(luò)入侵檢測系統(tǒng)的產(chǎn)品。將IDS 檢測引擎與核心交換機(jī)連接進(jìn)入網(wǎng)絡(luò)，以旁路偵聽的方式，動態(tài)監(jiān)視網(wǎng)絡(luò)上流過的所有數(shù)據(jù)包。IDS的檢測引擎部署采用兩根網(wǎng)線，一根作為檢測引擎的IP 地址線連接管理端口，用于與控制臺服務(wù)器通訊和報警；另一根作為IDS 探針（也叫偵聽和抓包線），連接其中的一個監(jiān)聽口，兩根網(wǎng)線的另一端均連接到圖書館Cisco6509 核心交換機(jī)上，并選擇一臺性能較好的服務(wù)器安裝控制臺。在連接完成后，使用超級終端登錄檢測引擎進(jìn)行初步配置，設(shè)置檢測引擎的lP 地址為10.96.1.110，配置子網(wǎng)掩碼與網(wǎng)關(guān)；設(shè)置控制臺IP 地址為10.96.1.120。當(dāng)天融信防火墻聯(lián)動設(shè)置完畢，在天融信防火墻上也進(jìn)行相關(guān)聯(lián)動設(shè)置后，就可以在策略編輯器的策略窗口中，針對某規(guī)則定義其響應(yīng)方式為天融信防火墻聯(lián)動。

2.3 網(wǎng)絡(luò)病毒防治系統(tǒng)的建設(shè)

溫州大學(xué)圖書館進(jìn)行網(wǎng)絡(luò)病毒防治系統(tǒng)的建設(shè)，主要從以下方面入手：⑴ 建立完善的管理制度，規(guī)范圖書館用戶安全使用網(wǎng)絡(luò)資源的過程，使用時應(yīng)嚴(yán)格遵守病毒預(yù)防守則，加強(qiáng)病毒預(yù)防。⑵ 加裝硬件防護(hù)設(shè)備或還原軟件，進(jìn)行病毒防護(hù)。圖書館電子閱覽室PC 機(jī)上安裝了“奧易Free 卡1.0 版”還原卡，借還書工作機(jī)、書目檢索機(jī)安裝了“小哨兵”卡或“冰點(diǎn)”還原軟件，防止病毒破壞圖書館各個計算機(jī)子網(wǎng)系統(tǒng)。⑶ 安裝適用的殺毒軟件，定時進(jìn)行病毒查殺。⑷對操作系統(tǒng)和應(yīng)用軟件系統(tǒng)進(jìn)行常規(guī)升級，消除安全漏洞。⑸ 建立集中式網(wǎng)絡(luò)病毒防治系統(tǒng)，構(gòu)建整體病毒預(yù)警和防護(hù)體系。根據(jù)圖書館網(wǎng)絡(luò)的特點(diǎn)，可以在網(wǎng)絡(luò)中設(shè)置客戶端級防護(hù)、應(yīng)用服務(wù)器級防護(hù)、網(wǎng)關(guān)級防護(hù)等三個級別的病毒防護(hù)。[3]溫州大學(xué)圖書館結(jié)合自身網(wǎng)絡(luò)病毒防治系統(tǒng)的功能需求與產(chǎn)品的功能特點(diǎn)，選擇了金山毒霸網(wǎng)絡(luò)版作為其網(wǎng)絡(luò)病毒防治系統(tǒng)的軟件產(chǎn)品。并選擇一臺性能較好的服務(wù)器安裝系統(tǒng)中心，在PC 機(jī)上安裝客戶端，服務(wù)器上安裝金山毒霸服務(wù)器端，利用病毒防治系統(tǒng)中心定期進(jìn)行統(tǒng)一病毒庫升級和病毒查殺。

2.4 VLAN 劃分

VLAN 技術(shù)的應(yīng)用可以有效控制廣播風(fēng)暴，保證網(wǎng)絡(luò)性能，具有極大的靈活性與擴(kuò)展性。[4]它提高了網(wǎng)絡(luò)的效率和安全性，增強(qiáng)了圖書館各部門間的保密與合作，從而使圖書館網(wǎng)絡(luò)能更好地為讀者服務(wù)。依據(jù)圖書館的網(wǎng)絡(luò)結(jié)構(gòu)和具體需求，溫州大學(xué)圖書館根據(jù)網(wǎng)絡(luò)位置、區(qū)域功能、工作性質(zhì)及安全要求的不同，將圖書館劃分為28個VLAN，如中心機(jī)房VLAN、技術(shù)部網(wǎng)管VLAN、圖書館文獻(xiàn)管理信息系統(tǒng)VLAN、電子閱覽室與視聽室VLAN、辦公室區(qū)域VLAN、服務(wù)功能區(qū)域VLAN、無線網(wǎng)絡(luò)VLAN 等。各個VLAN 之間的通信，利用三層交換機(jī)的訪問控制策略加以限制，同時制定各個VLAN 對服務(wù)器VLAN的訪問控制策略，并根據(jù)每個部門網(wǎng)絡(luò)應(yīng)用需求開放網(wǎng)絡(luò)訪問權(quán)限，以此來確保圖書館網(wǎng)絡(luò)的安全。

2.5 VPN 技術(shù)的應(yīng)用

為使大量不在校園網(wǎng)范圍內(nèi)的合法用戶利用圖書館的電子資源，VPN 技術(shù)為這一難題提供了解決方案，而以簡單易用著稱的SSL VPN 更是在高校圖書館得到了廣泛應(yīng)用，它可以實(shí)現(xiàn)校外用戶對校園網(wǎng)內(nèi)部圖書館電子資源的遠(yuǎn)程訪問，從而拓寬了圖書館數(shù)字資源的使用地域。溫州圖書館選用了一款深信服科技的SINFOR M5400-S VPN網(wǎng)關(guān)設(shè)備，利用SSL VPN的功能解決了校外用戶的遠(yuǎn)程訪問圖書館資源的問題。圖書館將SINFOR M5400-S 設(shè)備放置在校園網(wǎng)中心機(jī)房，采用單臂模式部署，將它當(dāng)作一臺內(nèi)網(wǎng)服務(wù)器，通過直通線將設(shè)備的LAN 口接入到校園網(wǎng)的一臺核心交換機(jī)上。

2.6 備份冗余技術(shù)的應(yīng)用

各種網(wǎng)絡(luò)安全防范手段不可能設(shè)計的面面俱到而萬無一失，突發(fā)性事件仍有可能會給網(wǎng)絡(luò)系統(tǒng)帶來不可預(yù)知的災(zāi)難。因此，必須采取系統(tǒng)備份冗余技術(shù)措施，包括數(shù)據(jù)備份與網(wǎng)絡(luò)系統(tǒng)的備份，[5]以便在網(wǎng)絡(luò)系統(tǒng)發(fā)生災(zāi)難后，能夠使網(wǎng)絡(luò)系統(tǒng)迅速恢復(fù)運(yùn)行。在圖書館的日常管理中，應(yīng)把數(shù)據(jù)的備份作為重點(diǎn)，尤其是圖書館文獻(xiàn)信息管理系統(tǒng)中的書目數(shù)據(jù)、讀者的圖書借閱信息和特色資源數(shù)據(jù)的備份。對于兩種不同的備份對象，常用的備份方案是：（1）數(shù)據(jù)備份。本地高速度、大容量、自動的數(shù)據(jù)存儲、備份與恢復(fù)；異地數(shù)據(jù)存儲、備份與恢復(fù)，如對書目數(shù)據(jù)、借閱信息等每日備份在EMC 存儲磁盤上和專用備份機(jī)硬盤上，并定期刻錄光盤備份，使用IBM 磁帶機(jī)帶庫備份重要的自建特色數(shù)據(jù)庫等；（2）網(wǎng)絡(luò)系統(tǒng)備份。對關(guān)鍵網(wǎng)絡(luò)設(shè)備提供冗余備份，如網(wǎng)卡、UPS、核心交換機(jī)、路由器和防火墻，如圖書館購置了25KV的UPS 接入存儲和重要的服務(wù)器，防止臨時停電造成的數(shù)據(jù)丟失與設(shè)備損壞，并逐年增加UPS 容量，另外計劃增加一臺Cisco Catalyst 4507R 或更高配置的交換機(jī)開通冗余鏈路等。

溫州大學(xué)圖書館網(wǎng)絡(luò)安全防御體系完整實(shí)施后的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，如圖2 所示：

圖2 溫州大學(xué)圖書館網(wǎng)絡(luò)安全防御體系實(shí)施后的網(wǎng)絡(luò)拓?fù)鋱D

溫州大學(xué)圖書館網(wǎng)絡(luò)安全防御體系的實(shí)施，可有效地保護(hù)圖書館網(wǎng)絡(luò)系統(tǒng)的核心業(yè)務(wù)數(shù)據(jù)和各類信息資源的安全，保障圖書館網(wǎng)絡(luò)安全穩(wěn)定地運(yùn)行，保證了圖書館服務(wù)的正常開展，從而為學(xué)校的教學(xué)科研提供更優(yōu)質(zhì)的服務(wù)。

3 結(jié)束語

上述方案在技術(shù)上基本保證了溫州大學(xué)圖書館當(dāng)前網(wǎng)絡(luò)系統(tǒng)的正常安全運(yùn)行需要，將為規(guī)模相當(dāng)和網(wǎng)絡(luò)體系結(jié)構(gòu)類似的圖書館，在網(wǎng)絡(luò)安全系統(tǒng)的建設(shè)方面提供部分理論和實(shí)踐參考。隨著網(wǎng)絡(luò)技術(shù)的迅猛發(fā)展，新的網(wǎng)絡(luò)安全問題必將不斷產(chǎn)生，圖書館網(wǎng)絡(luò)環(huán)境將更加復(fù)雜多變，圖書館網(wǎng)絡(luò)也會面對越來越多的安全威脅。網(wǎng)絡(luò)安全管理人員需要不斷學(xué)習(xí)和研究新的網(wǎng)絡(luò)安全技術(shù)，及時調(diào)整網(wǎng)絡(luò)安全防范策略，不斷完善圖書館網(wǎng)絡(luò)安全防御體系。

[1]張仕斌，等.網(wǎng)絡(luò)安全技術(shù)[M].北京：清華大學(xué)出版社，2004.

[2]劉曉輝.網(wǎng)絡(luò)安全設(shè)計、配置與管理大全[M].北京：電子工業(yè)出版社.2009.

[3]秦志光，張鳳荔.計算機(jī)病毒原理與防范[M].北京：人民郵電出版社，2007.

[4]王文壽，王珂.網(wǎng)管員必備寶典——網(wǎng)絡(luò)安全[M].北京：清華大學(xué)出版社，2007.

[5]牛云，等.數(shù)據(jù)備份與災(zāi)難恢復(fù)[M].北京：機(jī)械工業(yè)出版社，2004.